Moderata samlingspartiet Riksorganisationen

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Moderata samlingspartiet riksorganisationen, 802001-5452, har brutit mot artikel 6.1 i dataskyddsförordningen genom att behandla personuppgifter utan rättslig grund i samband med framställning och utskick av personliga videohälsningar inför riksdagsvalet 2022.

IMY konstaterar vidare att Moderata samlingspartiet riksorganisationen har brutit mot artikel 14 i dataskyddsförordningen genom att inte ha gett tillräcklig information om behandlingen av personuppgifter.

IMY ger Moderata samlingspartiet riksorganisationen en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelserna.

1 Redogörelse för tillsynsärendet

1.1 Bakgrund och avgränsning

Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Moderata samlingspartiet riksorganisationen (Moderaterna eller partiet) med anledning av information som framkommit av ett flertal klagomål från personer som tagit emot utskick av personliga videohälsningar från partiet inför riksdagsvalet 2022.

I videohälsningarna visades Moderaternas partiledare som talade direkt till mottagaren och uppmanade mottagaren att rösta på partiet i det kommande valet. I hälsningen benämndes mottagaren med förnamn. Det övriga innehållet i videohälsningarna varierade och var bland annat anpassat till mottagarens tidigare relation till partiet, såsom att mottagaren var medlem i partiet, att mottagaren visat intresse för partiets kärnfrågor kopplat till en viss politisk kampanj (såsom ”Ja till NATO”) eller om Moderaterna samlat in mottagarens uppgifter på annan väg, exempelvis genom tips. Majoriteten av videohälsningarna skickades till mottagarna via sms eller e-post. För det fall en mottagare av hälsningen var bosatt utanför Sverige gjordes utskicket via brev, med möjlighet att ta del av en videohälsning genom att avläsa en QR-kod.

IMY har valt att avgränsa prövningen till den behandling av mottagarnas personuppgifter som skett i samband med framställning och utskick av videohälsningar till personer som Moderaterna har tipsats om från annan om att de skulle kunna vara intresserade av en videohälsning samt personer vars personuppgifter inhämtats från databasen MIA, som tillhandahålls av Marknadsinformation Analys MIA AB (MIA).

IMY:s prövning tar sikte på om Moderaterna har haft rättslig grund enligt artikel 6 i dataskyddsförordningen för den behandling av mottagarnas personuppgifter som skett i samband med framställningen och utskicken av de aktuella videohälsningarna. Prövningen avser även om den information om personuppgiftsbehandlingen som Moderaterna har lämnat till de registrerade har uppfyllt kraven i artikel 14 i dataskyddsförordningen.

1.2 Vad Moderaterna uppgett

Moderaterna har i huvudsak uppgett följande.

1.2.1 Personuppgiftsansvar

Moderaterna är personuppgiftsansvarig för den behandling av personuppgifter som tillsynsärendet gäller.

1.2.2 Hur behandlingen har gått till

Personuppgifter har samlats på olika sätt, beroende på kategori av registrerad och vilket tema videohälsningen har haft.

Uppgifter om personer som Moderaterna tipsats om har samlats in genom elektroniska formulär som andra personer kunnat fylla i för att hänvisa en vän till att få en videohälsning via sms eller e-post. För vissa personer har personuppgifter i form av namn och telefonnummer inhämtats från databasen MIA.

Framställning och distribution av videohälsningar har gjorts med hjälp av bolaget SEEN AS (SEEN eller personuppgiftsbiträdet) i egenskap av personuppgiftsbiträde till Moderaterna. Moderaterna har lämnat över personuppgifterna till SEEN och all data, däribland de färdiga videohälsningarna, har lagrats på personuppgiftsbiträdets servrar. SEEN har i sin tur anlitat underbiträden för utskick och lagring av videohälsningarna. Underbiträdena har tagit del av personuppgifter så som de färdiga videohälsningarna, mottagarens e-postadress och standardwebbserverloggar.

Utskicken av videohälsningarna har gjorts genom att de registrerade fick ett epostmeddelande eller sms med en för varje mottagare unik länk till en landningssida där videohälsningen visats. Om en mottagare klickat på länken har landningssidans innehåll, videohälsningen, genererats i realtid från en fördefinierad mall för den aktuella hälsningen.

För att kunna se sin videohälsning har mottagaren även behövt ge sitt godkännande till Moderaternas behandling av personuppgifter. Om mottagaren har valt att inte godkänna behandlingen har videohälsningen och mottagarens personuppgifter raderats från SEEN:s servrar direkt. Videohälsningen och personuppgifterna har även raderats om mottagaren inte besökte landningssidan inom 30 dagar från att länken mottogs. När den registrerade har valt att klicka på länken för att visa videohälsningen har innehållet för videohälsningens landningssida och tillhörande metadata lagrats tillfälligt i 10 dagar på en server hos ett av underbiträdena. Det har inneburit att innehållet, och således mottagarens personuppgifter, tillfälligt har lagrats så att mottagaren har kunnat återbesöka sin videohälsning inom 10 dagar utan att innehållet behövt genereras på nytt. Inga landningssidor genererades eller lagrades om mottagaren inte klickade på länken.

De individualiserade webbadresserna till landningssidorna har innehållit personuppgifter så som uppgift om vilken kampanj filmen handlade om, mottagarens förnamn och i vissa fall bostadsort. Dessa personuppgifter har inte varit direkt synliga

för mottagaren, men varit möjliga att nå genom att granska källkoden i webbadressen till landningssidan.

Moderaterna har totalt skickat ut 980 338 videohälsningar under 2022.

1.2.3 Personuppgifterna som behandlats

Moderaterna har behandlat följande personuppgifter.

Vid insamling av personuppgifterna

• mottagarens för- och efternamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall) • kontaktuppgifter i form av e-post eller telefonnummer • geografisk plats (för personer som moderaterna tipsats om)

Vid utskick av videohälsningen

• mottagarens förnamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall) • e-postadress eller telefonnummer.

Vid visningen av videohälsningen

• mottagarens förnamn • förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall)

Varje videohälsnings landningssida innehöll även inbäddade metadata i form av

• mottagarens interna ID i SEEN:s databas • ID för målsideposten i SEEN:s databas • URL:en till mottagarens unikt renderade film.

1.2.4 Moderaternas rättsliga grund för behandlingen

Den rättsliga grunden för den aktuella behandlingen av personuppgifter har varit Moderaternas berättigade intresse av att förse allmänheten med information om partiets politiska respektive organisatoriska verksamhet. Beträffande personer som Moderaterna tipsats om från andra har Moderaterna även angett tipsarens berättigade intresse av att en vän får relevant information om politik denne eventuellt har ett intresse för.

Moderaterna har uppgett att formen för utskicket varit nödvändig för att nå ut med informationen till registrerade på ett effektivt sätt. Med hänsyn till att det rör sig om en videohälsning är det även viktigt att denna kan skickas digitalt. Att använda brev, och på så vis minimera personuppgifterna ytterligare, innebär förlust i tid och ökade kostnader för Moderaterna, samt försvårar för mottagaren att ta del av informationen effektivt då de hade behövt skriva in webbadressen manuellt eller skanna en QR-kod för att nå videohälsningen. Genom att skicka informationen digitalt har man säkerställt att videohälsningen inte hamnat i fel händer på grund av felaktig hantering av fysisk post. Det berättigade intresset kan i ljuset av ovan inte tillgodoses på ett lika effektivt

sätt genom att göra på annat sätt eller behandla färre uppgifter. Behandlingen har därmed varit nödvändig.

Gällande personer som Moderaterna har tipsats om av en annan person menar Moderaterna att det varit nödvändigt att i aktuella fall behandla uppgifter om dessa personers intresse i kärnfrågor för att skicka så relevanta videohälsningar som möjligt. Personuppgifterna har minimerats till att endast omfatta sådana som behövs för ändamålet och för att kunna generera och skicka ut en videohälsning. Det har inte gått att härleda uppgifterna till mottagarens intresse av Moderaternas politik eller annan politisk åsikt.

I intresseavvägningen har Moderaterna även vägt in de tekniska och organisatoriska säkerhetsåtgärder som partiet vidtagit för att begränsa eventuell påverkan på de registrerade. Åtgärderna har bland annat varit följande:

• Identifierare: Identifierare för varje videohälsning har utformats genom slumpmässiga strängar som genererades från slumpmässiga gemener + versaler + siffror, t.ex. a–z, 0–9, innebärande totalt 916 132 832 unika kombinationer. Det här är en åtgärd som har vidtagits för att göra det mycket svårt att gissa sig till eller forcera en webbadress som kan innehålla personuppgifter.

• Inhämtande av godkännande: I samband med att mottagarna klickade på länken har de, innan de kunde se sin videohälsning, behövt ge sitt godkännande till datahanteringen. Godkännandet enligt ovan ska inte ses som ett samtycke enligt dataskyddsförordningen utan snarare som ett allmänt godkännande. Detta för att säkerställa att endast personer som aktivt velat ta del av videohälsningen har fått sina personuppgifter lagrade.

• En-till-en kommunikation: Alla webbadresser har skickats direkt till den registrerade via sms eller e-post, alltså kanaler som möjliggör ”en-till-en” kommunikation, för att säkerställa att mottagaren är avsedd mottagare.

• Laddning av landningssida: Inga landningssidor genererades och lagrades om ingen klickade på länken i sms:et eller e-postmeddelandet, utan genererades dynamiskt, i syfte att landningssidor endast skulle skapas för personer som aktivt valt att visa videohälsningarna.

• Transparens: Vid utskick av sms angavs adresskällan för ökad transparens och möjlighet för de registrerade att åtgärda eventuella felaktigheter direkt hos källan. Utöver detta angavs även information om hur mottagaren kan avregistrera sig från framtida sms och vart mottagaren ska vända sig med frågor om sms:et, där Moderaterna tagit fram en egen undersida på sin webbplats för att informera om sms:en.

Moderaternas bedömning är således att mottagarnas intresse av att inte få sina personuppgifter behandlade, samt deras grundläggande fri- och rättigheter, inte har vägt tyngre än partiets berättigade intresse av att behandla personuppgifterna.

1.2.5 Informationen till de registrerade

Moderaterna har lämnat information om personuppgiftsbehandlingen genom att hänvisa mottagarna av videohälsningarna till Moderaternas integritetsskyddspolicy, tillgänglig på bland annat partiets webbplats. Av texten har bland annat framgått att

Moderaterna stödjer sin behandling på en intresseavvägning, där partiet angett att de har ett berättigat intresse av att behandla personens personuppgifter för att förse denne med information om partiets politiska och organisatoriska verksamhet.

Mottagare av videohälsningarna har getts tillgång till informationen på olika sätt beroende på hur partiet samlat in deras personuppgifter, dvs. vilken kategori av registrerade de tillhört.

Utöver informationen i integritetsskyddspolicyn har vissa mottagare av videohälsningarna även fått ytterligare information om behandlingen i det sms som skickades ut. För de mottagare som Moderaterna tipsats om har sms:et eller epostmeddelandet innehållit information om vem som tipsat Moderaterna.

För det fall mottagarens uppgifter inhämtats från den externa databasen innehöll sms:et som skickades ut information om att deras uppgifter inhämtats därifrån och hur de kunde avsluta utskicken. Sms:et innehöll också en länk till en undersida på Moderaternas webbplats med information om hur Moderaterna hanterar personuppgifter i samband med sms-utskick. Texten såg ut på följande sätt:

”Hej FÖRNAMN, jag har spelat in en personlig videohälsning till dig https://video.moderaterna.se/v/ovdRz/ Tillsammans kan vi få ordning på Sverige! Hälsningar Ulf Kristersson Adresskälla: MIA. Skriv MSTOP XX till 7XX XX för att avregistrera Frågor om ditt sms? moderaterna.se/sms”.

2 Motivering av beslutet

IMY tar inledningsvis ställning till om Moderaterna är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter. IMY prövar därefter om Moderaterna har haft rättslig grund för och gett de registrerade tillräcklig information om behandlingen på det sätt som krävs enligt dataskyddsförordningen.

2.1 Personuppgiftsansvar

2.1.1 Tillämpliga bestämmelser

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. En aktör kan vara att betrakta som personuppgiftsansvarig även om den saknar faktisk tillgång till personuppgifterna som behandlas.

2.1.2 IMY:s bedömning

Moderaterna har uppgett att partiet är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att Moderaterna bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY bedömer därför att Moderaterna är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter.

2.2 Rättslig grund för behandlingen

2.2.1 Tillämpliga bestämmelser m.m.

I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig.

För att en personuppgiftsbehandling ska vara laglig krävs att åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt. Dessa villkor brukar benämnas rättsliga grunder.

För att en behandling ska kunna stödja sig på den rättsliga grunden berättigat intresse (även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter att ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska

vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas, om det rör sig om känsliga personuppgifter, behandlingens sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

För det fall behandlingen sker för ändamål som rör personligt riktad reklam ska i bedömningen även vägas in att det berättigade intresset av att behandla uppgifterna för sådana ändamål inte under några omständigheter kan anses väga tyngre om det finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas negativt.

2.2.2 IMY:s bedömning

Berättigat intresse

Moderaternas intresse av att informera om partiets politiska verksamhet har varit lagligt, verkligt och faktiskt vid tidpunkten för behandlingen. IMY konstaterar därför att Moderaterna har haft ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

IMY bedömer dock att tipsarens intresse av att en vän ska få information om politik som denne kan vara intresserad av inte utgör ett sådant berättigat intresse för tredje part som kan ligga till grund för behandling med stöd av artikel 6.1 f i dataskyddsförordningen. Detta intresse kommer därför inte ligga till grund för den fortsatta bedömningen.

Nödvändighet

Den behandling som krävts för att framställa och skicka ut de personliga videohälsningarna har omfattat uppgifter om bland annat förnamn, bostadsort, epostadress och telefonnummer. Framställningen av de personligt anpassade videohälsningarna har innefattat flera olika behandlingsmoment, bland annat i form av att personuppgifterna överförts till samt lagrats och bearbetats av ett personuppgiftsbiträde. Om en mottagare klickat på länken har uppgifterna därefter använts för att generera och visa den personliga filmen, vilket medfört att ytterligare personuppgifter i form av metadata om mottagarens videohälsning skapats. Personuppgifterna har, utöver den tid de behandlats innan utskicken gjordes, i många fall lagrats under en längre tid än 30 dagar efter att utskicken till mottagarna skett.

I det aktuella fallet har behandlingen av de registrerades personuppgifter varit omfattande, bland annat sett till att det skett en omfattande bearbetning av personuppgifterna och att uppgifterna lagrats under en längre tid i syfte att göra ett enstaka utskick av information. IMY bedömer därför att Moderaterna inte har visat att syftet att nå ut med informationen inte rimligtvis hade kunnat uppnås på ett lika effektivt sätt med hjälp av mindre omfattande behandling av personuppgifter. Det

innebär att behandlingen av personuppgifter i syfte att framställa och skicka ut personligt anpassade videohälsningar inte har varit nödvändig.

Intresseavvägning

Redan av ovannämnda skäl bedömer IMY att Moderaterna saknat rättslig grund för behandlingen. Oaktat detta prövar IMY det tredje villkoret, dvs. om de registrerades intressen eller grundläggande fri- och rättigheter väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

IMY konstaterar att utskick av ett politiskt meddelande som riktas direkt till en enskild via sms eller e-post utan att personen själv efterfrågat sådan information är påträngande. I marknadsföringslagen har det införts ett särskilt starkt integritetsskydd vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär att sådana utskick som huvudregel bara är tillåtna om samtycke har inhämtats på förhand. Det primära syftet med regleringen är att skydda konsumenter mot särskilt påträngande obeställd reklam. Marknadsföringslagen är visserligen inte tillämplig vid politisk marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick av reklam via sms och e-post.

Enligt IMY innebär detta att utrymmet för att använda sms och e-post för politisk reklam till den som inte är medlem eller aktivt har visat intresse för informationen är ytterst begränsat. Det gäller i synnerhet i ett fall som detta där ett parti använt sig av en personligt anpassad videohälsning där partiledaren direkt tilltalar den registrerade vid förnamn och informerar om sitt politiska budskap. Ett sådant tilltal måste anses som särskilt påträngande. Mot denna bakgrund samt med beaktande av att de registrerade inte själva har lämnat sina personuppgifter eller haft en tidigare relation till partiet, anser IMY att behandlingen inte kan anses ha legat inom ramen för de registrerades rimliga förväntningar.

I relevanta fall har mottagaren visserligen fått information om vem som har tipsat Moderaterna om honom eller henne tillsammans med en länk till integritetsskyddspolicyn och på så vis fått kännedom om att partiet behandlar dennes personuppgifter. Att den personuppgiftsansvarige lämnat information i enlighet med regleringen i dataskyddsförordningen är dock inte tillräckligt för att den registrerade rimligen ska förvänta sig en viss behandling. Vid bedömningen av de registrerades intressen har IMY även beaktat att det av informationen i integritetspolicyn dessutom inte har framgått hur partiet behandlar personuppgifter om personer som inte själva visat intresse för partiet, vilket närmare utvecklas i avsnitt 2.3 av beslutet. De registrerade har således inte kunnat läsa sig till och förstå vilka personuppgifter om dem som behandlats i sammanhanget och hur behandlingen har gått till.

I intresseavvägningen har Moderaterna vägt in de skyddsåtgärder partiet har vidtagit för att begränsa intrånget i de registrerades personliga integritet, så som inhämtande av godkännande i samband med visningen av videohälsningen. IMY konstaterar att ett sådant godkännande i viss mån kan betraktas som en integritetshöjande åtgärd. Det kan dock konstateras att godkännandet efterfrågats först efter att personuppgifter redan behandlats i syfte att förbereda och genomföra utskicket och endast om mottagaren valt att klicka på den länk som skickats ut. Övriga säkerhetsåtgärder, så

som tekniska säkerhetsåtgärder och information i sms-utskick om adresskällan, utgör sådana åtgärder som ligger inom ramen för de skyldigheter som åligger den personuppgiftsansvarige enligt bland annat artiklarna 14 och 32 i dataskyddsförordningen. Åtgärderna ska därmed inte betraktas som sådana ytterligare skyddsåtgärder som ska vägas in i intresseavvägningen.

Vid en sammantagen bedömning finner IMY att de registrerades intressen och grundläggande rättigheter och friheter väger tyngre än Moderaternas intresse av att nå ut med informationen på det aktuella sättet. Därmed är inte det inte heller visat att det tredje villkoret i artikel 6.1 f är uppfyllt.

Sammanfattande bedömning

Sammanfattningsvis bedömer IMY att Moderaterna inte har kunnat grunda den aktuella behandlingen av personuppgifter på artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att Moderaterna haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Partiet har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen i samband med framställning och utskick av personliga videohälsningar inför riksdagsvalet 2022.

2.3 Information om behandlingen

Moderaterna har redogjort för hur de har informerat respektive grupp av registrerade om personuppgiftsbehandlingen och angett följande avseende de grupper som omfattas av IMY:s prövning.

Personer som Moderaterna tipsats om

De registrerade har tagit emot videohälsningen via sms eller e-post, beroende på vad den som tipsat Moderaterna valt. I textmeddelandet har de informerats om att Moderaterna var avsändare och att information om Moderaternas personuppgiftsbehandling bland annat fanns tillgänglig på Moderaternas webbplats. Textmeddelandet har även innehållit en länk till integritetsskyddspolicyn.

Textmeddelandet har även innehållit förnamnet på den person som tipsat partiet om mottagaren och hur mottagaren kunde avsluta utskicken.

Personer vars uppgifter inhämtats från MIA

Samtliga personer i denna kategori har tagit emot videohälsningar genom sms-utskick. I textmeddelandet har mottagaren informerats om att Moderaterna var avsändare och att personuppgifterna inhämtats från MIA. Sms-meddelandet har även innehållit en länk till Moderaternas webbplats, där mottagaren har kunnat nå integritetsskyddspolicyn.

2.3.1 Tillämpliga bestämmelser

Av artikel 14 i dataskyddsförordningen framgår vilken information som den personuppgiftsansvarige ska ge den registrerade vid behandling av personuppgifter som inte tillhandahållits av den registrerade själv. Den personuppgiftsansvarige ska bland annat informera om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen, information om den period

under vilken personuppgifterna kommer att lagras och om de eventuella mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna samt de kategorier av personuppgifter som behandlingen gäller.

Av skäl 39 till dataskyddsförordningen följer att varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen.

Av skäl 60 följer att principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

Artikel 29-gruppen, som numera ersatts av den Europeiska dataskyddsstyrelsen (EDPB), har tagit fram riktlinjer om öppenhet, WP260 rev. 01 (WP260). Av WP260 framgår bland annat att en central del av principen om öppenhet är att den registrerade ska ha möjlighet att förutse vad omfattningen och konsekvenserna av behandlingen innebär och att den registrerade inte i ett senare skede blir överraskad av hur dennes personuppgifter har hanterats.

Beträffande lagringstiden för personuppgifterna framgår av nämnda riktlinjer att den:

[…] bör anges på ett sådant sätt att den registrerade, utifrån sin egen situation, kan bedöma lagringstiden för särskilda uppgifter/ändamål. Det räcker inte att den personuppgiftsansvarige generellt anger att personuppgifterna bevaras så länge som är nödvändigt för de berättigade ändamålen med behandlingen. I relevanta fall bör olika lagringstider anges för olika kategorier av personuppgifter och/eller olika behandlingsändamål, inklusive arkiveringstid i lämpliga fall.

Beträffande information om mottagare av personuppgifter framgår av WP260 att mottagare av personuppgifter ska tolkas utifrån definitionen i artikel 4.9 i dataskyddsförordningen. Av riktlinjerna förtydligas att en mottagare inte behöver vara en tredje part. Vidare förtydligas att de faktiska mottagarna generellt sett bör nämnas med namn, så att den registrerade vet exakt vem som har deras personuppgifter. Detta i linje med rättviseprincipen. Om den personuppgiftsansvarige istället informerar om kategorierna av mottagare ska informationen göras så specifik som möjligt genom

att ange typen av mottagare, exempelvis genom att hänvisa till vilka olika aktiviteter mottagaren utför, inom vilken sektor eller mottagarens geografiska plats.

2.3.2 IMY:s bedömning av Moderaternas information om behandlingen

Kategorier av personuppgifter

Enligt artikel 14.1 d ska den personuppgiftsansvarige lämna information om de kategorier av personuppgifter som behandlingen gäller. Informationen krävs eftersom de registrerade i det fallet inte känner till vilka kategorier av personuppgifter den personuppgiftsansvarige har erhållit.

Moderaterna har ombetts att särskilt ange vilka avsnitt i informationen som är relevanta för personuppgiftsbehandlingen i samband med framställningen och utskick av de personliga videohälsningarna och har hänvisat till avsnitt 2 och 4 integritetsskyddspolicyn.

I avsnitt 2 i integritetsskyddspolicyn förekommer information om i vilka situationer Moderaterna behandlar personuppgifter. Avsnittet har rubriken Hur och varför behandlar vi dina personuppgifter? Av avsnittets andra och tredje stycke framgår att Moderaterna behandlar information om medlemskap i Moderata samlingspartiet. I avsnittets fjärde stycke beskrivs hur Moderaterna behandlar om gruppen intressenter. Av fjärde stycket framgår att partiet … behandlar i vissa fall personuppgifter, främst kontaktuppgifter såsom namn, adress, telefonnummer och e-postadress, om personer som inte är eller ännu har blivit medlemmar men som lämnat sådana uppgifter till oss eller annars visat intresse för partiets verksamhet eller deltagit i partiets verksamhet (exempelvis genom deltagande vid våra arrangemang eller möten).

Avsnitt 4 har rubriken Vad ska uppgifterna användas till? I avsnittet anger Moderaternas ändamål med behandlingen. Ett av ändamålen är Kontakt med medlemmar och intressenter. Det framgår att den behandling som utförs för ändamålet bland annat är Utskick av information, insamlingsbrev … Utskick av elektroniska nyhetsbrev Marknadsföring i annonsnätverk och sociala kanaler…. Det framgår vidare att de personuppgifter som behandlas för ändamålet är uppgifter om För- och efternamn, adressuppgifter, e-postadress (nyhetsbrev), id-nummer/cookies/, ipadresser från respektive annons- och social plattform.

IMY anser att det inte framgår tillräckligt tydligt av informationen i integritetsskyddspolicyn att personuppgiftsbehandlingen även kan gälla registrerade som inte tillhör grupperna medlemmar eller intressenter. Informationen ger enligt IMY intrycket att de personuppgifter som partiet angett att de behandlar endast gäller registrerade som själva visat intresse för partiet eller deltagit i partiets verksamhet.

Det går inte att utläsa av integritetsskyddspolicyn att partiet behandlat eller kan komma att samla in telefonnummer från externa källor.

Även om sms- och e-postutskicken har innehållit information om källan till personuppgifterna (MIA eller tips från enskilda) har utskicken inte innehållit information om vilka uppgifter som har inhämtats från den angivna källan. IMY bedömer därmed

att de registrerade inte kan anses ha fått tillräckligt tydlig information om vilka kategorier av personuppgifter som behandlas om dem.

Sammantaget bedömer IMY att Moderaterna inte har informerat om personuppgiftsbehandlingen enligt vad som krävs enligt artikel 14.1 d i dataskyddsförordningen.

Information om mottagare

Enligt artikel 14.1 e i dataskyddsförordningen ska information lämnas om mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

Avsnitt 6 i integritetsskyddspolicyn har rubriken Vilka kan få tillgång till dina personuppgifter? Av avsnittet följer Dina personuppgifter kan komma att lämnas ut för behandling till Moderata Samlingspartiets IT-leverantörer såsom system- och driftleverantörer samt till förbund, partikretsar och partiföreningar, i vissa fall även utanför Sverige för att kunna administrera medlemskap eller begäran om information eller för att i övrigt kunna fullfölja åtaganden gentemot den registrerade.

Av utredningen i ärendet framgår att Moderaterna har lämnat ut personuppgifter till personuppgiftsbiträdet SEEN. IMY konstaterar dock att vare sig personuppgiftsbiträdet eller involverade underbiträden nämns med namn i integritetsskyddspolicyn. Det saknas vidare stöd för att de registrerade på någon annan väg fått någon information om att personuppgifterna kommer att lämnas ut eller har lämnats ut till personuppgiftsbiträdet eller underbiträdena.

IMY anser att den information som Moderaterna lämnat inte är tillräckligt specifik för att de aktuella grupperna av registrerade har kunnat förstå att Moderaterna kommer att lämna ut eller har lämnat ut personuppgifterna till personuppgiftsbiträdet och dess underbiträden. IMY bedömer därmed att den information som Moderaterna har lämnat om mottagarna av personuppgifterna inte uppfyller kraven i artikel 14.1 e i dataskyddsförordningen.

Information om lagringsperiod

Enligt artikel 14.2 a ska den personuppgiftsansvarige lämna information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

Under avsnitt 4 i integritetsskyddspolicyn anges under titeln Hur länge sparar vi dina personuppgifter? att Kontaktuppgifter till medlemmar behandlas under den tid du är aktiv eller registrerad medlem i partiet. Prenumeranter på elektroniska nyhetsbrev kan när som helst avsluta sin prenumeration på nyhetsbrevet via en länk längst ned i våra utskick. Vi raderar personuppgifterna vid sådan avanmälan. För marknadsföring i annonsnätverk och sociala kanaler sparas data enligt respektive nätverks inställningar, normalt sett upp till ett år, eller kortare om du själv i inställningar väljer att avanmäla dig.

IMY konstaterar att integritetsskyddspolicyn inte har innehållit någon information om hur länge uppgifterna har lagrats i samband med skapandet och utskicket av

videohälsningarna. Informationen har inte innehållit någon övrig tidsangivelse för lagring av personuppgifter i samband med den aktuella behandlingen. De situationer som omnämns under rubriken Hur länge sparar vi dina personuppgifter, går inte att likställa med behandlingen i samband med framställningen av videohälsningarna och de tidsangivelser som anges där är därmed inte relevanta i sammanhanget. Utredningen har inte heller visat att de registrerade fått information om lagringstiden på något annat sätt. IMY konstaterar därmed att Moderaterna inte har informerat om lagringstiden för personuppgifterna eller kriterier som kan användas för att fastställa denna period på ett sådant sätt att de registrerade kan förstå hur länge de aktuella uppgifterna har lagrats.

IMY bedömer därmed att Moderaterna inte har lämnat information till de registrerade om lagringstiden av personuppgifterna enligt vad som krävs enligt artikel 14.2 a i dataskyddsförordningen.

Sammanfattande bedömning av Moderaternas information om behandlingen

Sammanfattningsvis bedömer IMY att Moderaterna har brutit mot artikel 14 i dataskyddsförordningen genom att inte ha gett tillräcklig information om behandlingen av personuppgifter.

3 Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelser av artiklarna 6 och 14 i förordningen. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har bedömt att Moderaterna har saknat rättslig grund för den behandling av personuppgifter som prövningen gäller. Vidare har Moderaterna inte informerat de registrerade om behandlingen på det sätt som krävs enligt dataskyddsförordningen.

Vid en samlad bedömning, där hänsyn bland annat tas till att uppgifterna har behandlats vid ett tillfälle och således inte varit av systematisk karaktär, anser IMY att det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i dataskyddsförordningen. IMY ger därför Moderaterna en reprimand för överträdelsen.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av juristen Sofia Standar. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren, enhetschefen Catharina Fernquist, rådgivaren Victor Hagstedt och avdelningsjuristen Maja Welander medverkat.

Eric Leijonram

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.